Låsversion 2 för minnesöverskrivningskontroll (MOR)

Varning

Mor-lås (Memory Overwrite Request Control) kan inte låsas upp i Windows-system som körs med virtualiseringsbaserad säkerhet (VBS) och/eller Hypervisor-framtvingad kodintegritet (HVCI) som är standardkonfigurationen för Windows 11 22H2 och senare versioner.

För att förhindra avancerade minnesattacker förbättras det befintliga systemets BIOS-säkerhetsreducering MemoryOverwriteRequestControl för att stödja låsning för att skydda mot nya hot.

Version 1 definierade en UEFI-variabel som, när den anges, låser den ursprungliga MOR-bytet, vilket förhindrar att den ändras av obehöriga agenter som OS-kerneln. När MOR-lås är aktiverat är det ursprungliga MOR-bytet inställt på 0x11, detta indikerar att plattformen måste rensa minnet vid alla återställningar – autodetektering är förbjudet. Detta medförde ett prestandastraff när plattformar aktiveras.

Version två av låset stöder en nyckel som tillåter att en auktoriserad agent, till exempel hypervisor-programmet, inaktiverar låset. Förväntningarna är att hypervisor-programmet under en normal avstängning först tar bort sina hemligheter från RAM-minnet, använder version 2-nyckeln för att inaktivera låset och rensar den ursprungliga MOR-bytet, vilket gör att plattformen kan startas om utan att ram-minnet rensas. Inbyggd programvara som implementerar version 2 av MOR-låset ger mer skydd samtidigt som prestandapåföljder som är associerade med version 1 undviks.

Stöd för MOR Lock V2 ingår i följande versioner av Windows:

  • Windows Server Technical Preview 2016

  • Windows 10, version 1607 och senare

TCG-plattformens specifikation för återställning av attackbegränsning

Säker MOR-implementering

  • Last updated on